【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587

admin 2022年3月24日13:56:43评论274 views字数 1925阅读6分25秒阅读模式
 

漏洞名称

Oracle Access Manager 未授权远程代码执行漏洞

组件名称

Oracle Access Manager

影响范围

Oracle Access Manager 11.1.2.3.0

Oracle Access Manager 12.2.1.3.0

Oracle Access Manager 12.2.1.4.0

漏洞类型

远程代码执行

利用条件

1、用户认证:不需要用户认证
2、前置条件:默认配置

3、触发方式:远程

综合评价

<综合评定利用难度>:未知。

<综合评定威胁等级>:严重,能造成远程代码执行。


漏洞分析


组件介绍

Oracle Access Management 访问管理器(Access Manager)是以前的(独立)产品,名为 Oracle Access Manager。Access Manager 提供 Oracle Fusion Middleware 单点登录 (SSO) 解决方案。


2 漏洞描述

近日,深信服安全团队监测到一则 Oracle Access Manager 组件存在未授权远程代码执行漏洞的信息,漏洞编号:CVE-2021-35587,CVSS评分:9.8分,漏洞威胁等级:严重。


该漏洞是由于 Oracle Access Manager 未对 HTTP 请求进行有效的验证,攻击者可利用该漏洞在未授权的情况下,构造恶意数据进行远程代码执行漏洞攻击,最终获取服务器最高权限。


影响范围

 


Access Manager 提供 Oracle Fusion Middleware 单点登录 (SSO) 解决方案。全球总计30000以上的资产使用了Oracle Fusion Middleware。国内省份主要分布在广西、北京、辽宁等省份。


目前受影响的版本:

Oracle Access Manager 11.1.2.3.0

Oracle Access Manager 12.2.1.3.0

Oracle Access Manager 12.2.1.4.0


解决方案



1 官方修复建议

当前官方已发布受影响版本的对应补丁,建议受影响的用户及时更新官方的安全补丁。链接如下:

https://www.oracle.com/security-alerts/cpujan2022.html


2 深信服解决方案

1.检测方案

【深信服安全云眼CloudEye】预计2022年3月24日,完成检测更新,对所有用户网站探测,保障用户安全。不清楚自身业务是否存在漏洞的用户,可注册信服云眼账号,获取30天免费安全体验。

注册地址:http://saas.sangfor.com.cn

【深信服云镜YJ】预计2022年3月24日,完成检测能力的发布,部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响,避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力,可以连接云端升级的用户可自动获得漏洞检测能力。

【深信服安全感知管理平台SIP】预计2022年3月24日,结合云端实时热点高危/紧急漏洞信息,可快速检出业务场景下的该漏洞,并可联动【深信服下一代防火墙AF】等产品实现对攻击者IP的封堵。


2.防护方案

【深信服下一代防火墙AF】预计2022年3月24日,可防御此漏洞, 建议用户将深信服下一代防火墙开启 IPS 防护策略,并更新最新安全防护规则,即可轻松抵御此高危风险。

【深信服Web应用防火墙WAF】预计2022年3月24日,可防御此漏洞, 建议用户将深信服Web应用防火墙WAF开启IPS防护策略,并更新最新安全防护规则,即可轻松抵御此高危风险。


3.服务方案

【深信服安全托管服务MSS】以保障用户网络安全“持续有效”为目标,通过将用户安全设备接入安全运营中心,依托于XDR安全能力平台和MSSP安全服务平台实现有效协同的“人机共智”模式,围绕资产、脆弱性、威胁、事件四个要素为用户提供7*24H的安全运营服务,快速扩展持续有效的安全运营能力,保障可承诺的风险管控效果。


参考链接


https://www.oracle.com/security-alerts/cpujan2022.html


时间轴


2022/3/23 深信服监测到Oracle Access Management漏洞信息。

2022/3/23  深信服千里目安全实验室发布漏洞通告。



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587


深信服千里目安全实验室

【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们




原文始发于微信公众号(深信服千里目安全实验室):【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年3月24日13:56:43
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Oracle Access Manager 未授权远程代码执行漏洞CVE-2021-35587https://cn-sec.com/archives/838931.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息